NIS2-Readiness aus Asset-Nachweisen statt aus einem Fragebogen
NIS2 Artikel 21(2) verlangt angemessene technische und organisatorische Risikomanagementmassnahmen. AssetObserve bildet rein lesende Scan-Nachweise aus Ihrem eigenen Netz auf diese Massnahmen ab, damit die Readiness-Diskussion mit dem tatsaechlichen Ist-Zustand beginnt und nicht mit einer Erinnerung.
Die meisten NIS2-Vorbereitungen bleiben an derselben Stelle stehen: Niemand kann belastbar sagen, was im Netz steht, was davon ungepatcht ist und was davon heute aktiv ausgenutzt wird. AssetObserve beantwortet das aus Nachweisen und zeigt die verbleibenden Luecken als offene Fragen, statt sie hinter einer Punktzahl zu verstecken.
Was der Scan selbst belegen kann
Massnahmen, zu denen die lesende Erhebung ein echtes Artefakt liefert.
| Asset-Inventar und Geltungsbereich | Autorisierte Erhebung ueber Windows, Linux, macOS, Netzwerkgeraete per SNMP, VMware, Active Directory und Cloud-Tenants, mit einer Abdeckungssicht, die nicht erreichbare, ausgeschlossene und an Zugangsdaten gescheiterte Ziele sichtbar haelt, statt sie stillschweigend aus der Zaehlung fallen zu lassen. |
|---|---|
| Schwachstellenbehandlung | Softwareinventar im Abgleich mit einem lokal gespiegelten NVD-Bestand, angereichert mit dem CISA-KEV-Katalog bekannt ausgenutzter Schwachstellen und den EPSS-Ausnutzungswahrscheinlichkeiten von FIRST.org. Die Triage wird dadurch ausnutzungsbewusst statt einer reinen CVE-Zahl. Treffer sind als 'moeglicher Treffer, nicht bestaetigt' gekennzeichnet. |
| Patch- und Lifecycle-Zustand | Patchalter je Host, End-of-Life-Abgleich fuer Produkte sowie exponierte Altprotokolle wie SMBv1 oder selbstsignierte TLS-Zertifikate. |
| Backup- und Kontinuitaetssignale | Backup-Zusammenfassungen, Status des Volumeschattenkopie-Dienstes, kuerzliche Backup-Fehler und veraltete Hypervisor-Snapshots. |
| Signale zur Zugriffskontrolle | Wildwuchs lokaler Administratoren, Anzahl der Domaenenadministratoren, verwaiste Konten und Mindestvorgaben der Passwortrichtlinie, rein lesend ueber LDAPS und WinRM erhoben. |
Was nur ein Mensch schliessen kann
Massnahmen, bei denen Erklaerung und Dokument der Nachweis sind.
Rollen im Vorfallmanagement, Krisenkommunikation, getestete Wiederherstellungsverfahren, Sicherheitspflichten von Lieferanten, Schulungen und Governance-Verantwortung lassen sich durch keinen Scan feststellen. AssetObserve behandelt diese als erklaerungsgestuetzte Controls: Eine benannte Person hinterlegt die Antwort und das Dokument, und die Bewertung weist ein reines Erklaerungs-Control auch genau so aus.
Das Ergebnis sind zwei getrennte Kennzahlen statt einer schmeichelhaften Prozentangabe: wie viel automatisch belegt ist und wie viel auf einer menschlichen Aussage beruht.
Was dabei herauskommt
Berichte, die Geschaeftsleitung und Pruefer gleichermassen lesen koennen.
Ein NIS2-Readiness-Bericht als HTML oder PDF, ein technischer Findings-Bericht und ein priorisierter Massnahmenplan, jeweils auf Deutsch, Englisch oder Tuerkisch aus derselben Nachweisbasis erzeugt. Akzeptierte Risiken werden mit fachlicher Begruendung, Geltungsbereich und optionalem Ablaufdatum dokumentiert, damit eine bewusste Entscheidung als Entscheidung sichtbar bleibt und nicht als offenes Finding.
Wo der Anspruch endet
- AssetObserve unterstuetzt die NIS2-Vorbereitung und die Lueckenanalyse. Es zertifiziert keine Compliance und ersetzt keine Rechtsberatung zu der Frage, ob NIS2 fuer Ihre Einrichtung gilt.
- Die Erhebung ist rein lesend und an den freigegebenen Geltungsbereich gebunden. Sie nutzt keine Systeme aus, erraet keine Zugangsdaten, umgeht keine Erkennung und veraendert, deaktiviert oder behebt nichts auf einem gescannten Host.
- Scan-Zugangsdaten verbleiben in einem kundenseitig kontrollierten Tresor auf dem Agenten oder Server. In den Workspace gelangen nur normalisierte Nachweise.
Haeufige Fragen
01/ Macht uns der NIS2-Bericht NIS2-konform?
Nein, er bereitet Sie vor. Der Bericht bildet Ihre Nachweise auf die Massnahmen nach Artikel 21(2) ab und zeigt einen Readiness-Wert zusammen mit den verbleibenden offenen Fragen. Konformitaet ist eine rechtliche Feststellung zu Ihrer Einrichtung und kein Ergebnis eines Scans.
02/ Welche NIS2-Massnahmen lassen sich automatisch belegen?
Asset-Inventar und Geltungsbereich, Schwachstellenbehandlung, Patch- und Lifecycle-Zustand, Backup-Signale sowie technische Signale zur Zugriffskontrolle. Vorfallmanagement, Lieferantenpflichten, Schulungen und Governance benoetigen eine menschliche Erklaerung mit hinterlegtem Dokument.
03/ Brauchen wir fuer NIS2-Nachweise auf jedem Rechner einen Agenten?
Nein. Ein autorisierter Scanner an einer erreichbaren Position erhebt Netzwerknachweise und kann Windows, Linux, macOS, Drucker, Switches und Hypervisoren dokumentieren. Der dauerhafte Endpoint-Modus ist optional und vor allem fuer mobile oder selten verbundene Geraete gedacht.
04/ Worin unterscheiden sich ausnutzungsbewusste Schwachstellendaten von einer CVE-Zahl?
Eine reine CVE-Zahl gewichtet jeden Treffer gleich. AssetObserve reichert Treffer mit dem CISA-KEV-Katalog an, der eine bekannt ausgenutzte Schwachstelle unabhaengig vom CVSS-Wert auf kritisch setzt, sowie mit EPSS-Ausnutzungswahrscheinlichkeiten von FIRST.org, die die Reihenfolge innerhalb einer Schweregradklasse anpassen.